11.6. بروكسي HTTP/FTP

يعمل بروكسي HTTP/FTP كوسيط في اتصالات HTTP و (أو) FTP. يتمثل دور البروكسي في جزأين:

التخبئة (Caching): تخزين نسخ من الملفات الأخيرة المسحوبة من الإنترنت محلياً، لتفادي تنزيلها عدة مرات.
الترشيح: إذا كان العميل مجبراً على استخدام البروكسي (وكانت الاتصالات الخارجة ممنوعة إلا إذا مَرَّت عبر البروكسي)، عندها يستطيع البروكسي التحكم بمنع الطلبات أو السماح بتنفيذها.

اختارت شركة فلكوت Squid كمخدم بروكسي.

11.6.1. التثبيت

تحوي الحزمة squid3 البروكسي التجزيئي فقط (الذي يقدم خدمة التخبئة). ولتحويله إلى مخدم ترشيح يجب تثبيت الحزمة الإضافية squidguard. بالإضافة لذلك، تقدم الحزمة squid-cgi واجهة استعلام وإدارة لبروكسيات Squid.

قبل التثبيت، يجب الانتباه إلى التحقق من أن النظام يستطيع التعرّف على اسمه الكامل: يجب أن يعيد الأمر hostname -f اسماً كامل التوصيف fully-qualified (أي يتضمن اسم نطاق). إذا لم يُعِد ذلك، يجب تعديل الملف /etc/hosts حتى يحوي الاسم الكامل للنظام (مثلاً، arrakis.falcot.com). يجب التحقق من الاسم الرسمي للحاسوب مع مدير الشبكة لتفادي أي تضاربات.

11.6.2. إعداد خدمة التخبئة

لتفعيل ميزة مخدم التخبئة يكفي تعديل ملف الضبط /etc/squid3/squid.conf والسماح للأجهزة ضمن الشبكة المحلية بإرسال طلبات عبر البروكسي. يُبيّن المثال التالي التعديلات التي أجراها مديرو النظم في شركة فلكوت.

مثال 11.25. الملف /etc/squid3/squid.conf (مقتطفات)

# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS

# Example rule allowing access from your local networks. Adapt
# to list your (internal) IP networks from where browsing should
# be allowed
acl our_networks src 192.168.1.0/24 192.168.2.0/24
http_access allow our_networks
http_access allow localhost
# And finally deny all other access to this proxy
http_access deny all

11.6.3. إعداد خدمة الترشيح

squid نفسه لا يقدم خدمة الترشيح؛ بل يوكّل squidGuard بهذا العمل. يجب إعداد الأول حتى يتعامل مع الثاني. هذا يشمل إضافة التعليمة التوجيهية التالية إلى الملف /etc/squid3/squid.conf:

url_rewrite_program /usr/bin/squidGuard -c /etc/squid3/squidGuard.conf

كما يجب تثبيت برنامج CGI التالي أيضاً: /usr/lib/cgi-bin/squidGuard.cgi، باستخدام /usr/share/doc/squidguard/examples/squidGuard.cgi.gz كنقطة انطلاق. التعديلات المطلوبة على هذا السكربت هي المتغيرات $proxy و$proxymaster (اسم البروكسي والبريد الإلكتروني للتواصل مع مدير النظام). أما المتغيران $image و$redirect فيجب أن يشيرا إلى صور متاحة لاستخدامها للتعبير عن رفض الطلب.

يُفعّل المرشح بالأمر service squid3 reload. لكن بما أن الحزمة squidguard لا ترشّح أي شيء افتراضياً، فعلى مدير النظام تحديد سياسة الترشيح. يكون ذلك عبر إنشاء الملف /etc/squid3/squidGuard.conf (باستخدام القالب /etc/squidguard/squidGuard.conf.default إذا اقتضت الحاجة).

يجب إعادة توليد قاعدة بيانات العمل باستخدام update-squidguard بعد كل تعديل على ملف ضبط squidGuard (أو تعديل إحدى قوائم النطافات أو عناوين URL التي يحويها). صيغة ملف الضبط موثّقة على الموقع التالي:

→ http://www.squidguard.org/Doc/configure.html

بدائل DansGuardian

الحزمة dansguardian هي بديلة للحزمة squidguard. هذا البرنامج لا يعتمد ببساطة على قائمة سوداء بالعناوين المحظورة، بل يستطيع الاستفادة من نظام PICS ‏(Platform for Internet Content Selection منصة انتقاء محتوى الإنترنت) ليقرر إذا كانت الصفحة مقبولة اعتماداً على التحليل الديناميكي لمحتوياتها.